DORA.
EU-asetus finanssialan digitaalisesta häiriönsietokyvystä: soveltamisala, keskeiset velvoitteet ja jatkuva vaatimustenmukaisuuden osoittaminen.
- Asetus (EU) 2022/2554
- Kirjoittaja: Derya Altinay
- Tilanne: 22.10.2026
- Lukuaika: 6 min.
Lyhyt vastaus.
DORA on EU-asetus finanssialan digitaalisesta häiriönsietokyvystä. Se on 17.1.2025 lähtien edellyttänyt soveltamisalaansa kuuluvilta finanssiyhteisöiltä luotettavaa tieto- ja viestintäteknisten riskien, poikkeamien, häiriönsietokyvyn testauksen ja palveluntarjoajariippuvuuksien hallintaa. Velvoitteet määräytyvät roolin ja soveltamisalan mukaan. Yleinen sertifikaatti ei korvaa niiden jatkuvaa täyttämistä.
DORA-asetus sääntelee jatkuvaa toimintaa.
DORA tarkoittaa Digital Operational Resilience Actia eli asetusta (EU) 2022/2554 finanssialan digitaalisesta häiriönsietokyvystä. Asetusta sovelletaan 17.1.2025 lähtien. Tavoitteena on, että finanssipalvelut voidaan ylläpitää ja palauttaa myös merkittävissä tieto- ja viestintäteknisissä häiriöissä. Euroopan komissio käsittelee ennaltaehkäisyä, vaikutusten rajoittamista ja palauttamista yhteisenä häiriönsietokyvyn tehtävänä.
DORA ulottuu kyberhyökkäysten torjuntaa laajemmalle. Myös tekniset viat, toimimattomat palautusmenettelyt ja riippuvuudet ulkoisista palveluista voivat haitata finanssipalvelua. Ratkaisevaa on siksi liiketoimintavastuun, teknologian ja palveluntarjoajien yhteistyö. Pelkkä turvallisuusohjeiden kokoelma ei vielä osoita, toimiiko maksuprosessi todella uudelleen häiriön jälkeen.
Täydentävät tekniset sääntelystandardit ja täytäntöönpanostandardit täsmentävät asetusta. Komission virallinen rekisteri sisältää esimerkiksi poikkeamailmoituksia ja alihankintaa koskevia säädöksiä. Toteutus edellyttää siksi kulloinkin sovellettavia lopullisia sääntöjä ja toimivaltaisen valvojan määräyksiä. Vanha tarkistuslista tai yleinen ilmoituskalenteri ei korvaa tätä arviointia.
Mitä finanssiyhteisöjä ja palveluntarjoajia DORA koskee.
DORA koskee tiettyjä finanssialan oikeushenkilöitä asetuksen (EU) 2022/2554 2 artiklan mukaisesti. Näitä ovat esimerkiksi luottolaitokset, maksulaitokset, sijoituspalveluyritykset ja vakuutusyritykset, lakisääteiset poikkeukset huomioiden. Nimitykset FinTech, startup tai pk-yritys eivät ratkaise asiaa. EIOPA selittää lopullisessa vastauksessaan DORA 136–3193, että luokittelu perustuu oikeushenkilön tyyppiin eikä yhteiskäyttöistä TVT:tä voida rajata pois vain yksittäisten toimintojen perusteella.
Tavanomaisella kolmantena osapuolena olevalla TVT-palveluntarjoajalla on eri rooli kuin soveltamisalaan kuuluvalla finanssiyhteisöllä. Finanssiasiakkaat voivat vaatia sopimussitoumuksia, tukea poikkeamatilanteissa ja luotettavaa näyttöä. Tästä on erotettava Euroopan valvontaviranomaisten nimenomainen nimeäminen kriittiseksi kolmantena osapuolena olevaksi TVT-palveluntarjoajaksi DORA-asetuksen 31 artiklan nojalla. Pelkkä asiakkaan kriittisen toiminnon tukeminen ei johda tähän nimeämiseen, kuten ESMA:n tiedot valvontakehyksestä selittävät.
Oikeasuhteisuus tarkoittaa velvoitteiden perusteltua toteutustapaa yrityksen ja sen riskien perusteella. Se ei ole pienten yritysten yleinen vapautus. DORA-asetuksen 16 artiklan yksinkertaistetun TVT-riskienhallintakehyksen soveltuminen on arvioitava erikseen. Kirjatkaa rooli, mahdolliset poikkeukset, toimivaltainen viranomainen ja luokittelun perusteet yhteen ennen toteutuksen laajuuden määrittämistä.
DORA-vaatimukset yhdistävät kuusi työaluetta.
DORA-vaatimukset yhdistävät johdon, riskienhallinnan ja todennettavan toiminnan. Seuraava yleiskuva kokoaa asetuksen pääalueet. Kyberuhkia koskeva tiedonvaihto on vapaaehtoista. ESMA kuvaa näitä aiheita ja viittaa niiden täsmentämiseksi asianomaisiin teknisiin standardeihin.
Johto ja vastuu.
Ylin hallintoelin vastaa TVT-riskien hallinnasta DORA-asetuksen 5 artiklan mukaan. Tähän kuuluu kehys, jossa päätökset, vastuut ja tarvittavat resurssit sopivat yhteen. Ulkoisten palvelujen hankinta ei poista finanssiyhteisön vastuuta. Johdolla on oltava näkyvyys olennaisiin riskeihin ja vielä tekemättä oleviin päätöksiin.
TVT-riskien hallinta ja jatkuvuus.
DORA-asetuksen 5–16 artikla käsittelevät TVT-riskienhallintakehystä ja yksinkertaistetun kehyksen erityissääntöjä. Tunnistaminen, suojaaminen, havaitseminen, reagointi, palauttaminen ja oppiminen kuuluvat yhteen. Lähtökohtana on asianomainen finanssitoiminto järjestelmineen ja riippuvuuksineen. Dokumentoitu palautumistavoite tarvitsee tuekseen vastaavat tekniset ja organisatoriset valmiudet.
Poikkeamien käsittely ja ilmoittaminen.
DORA-asetuksen 17–23 artikla sääntelevät TVT:hen liittyviä poikkeamia ja niiden ilmoittamista. Vastuuhenkilöiden on arvioitava vaikutukset, tehtävä asianmukainen luokittelu ja järjestettävä tarvittavat ilmoitukset. Yksityiskohdat määräytyvät lisäksi sovellettavista teknisistä standardeista. Toimittajan häiriö on siksi ensin arvioitava asiasisällön perusteella, eikä samaa ilmoitusluokitusta pidä automaattisesti siirtää kaikkiin sääntelykehyksiin.
Digitaalisen häiriönsietokyvyn testaus.
DORA-asetuksen 24–27 artikla käsittelevät häiriönsietokyvyn testausta. Eri testit vastaavat eri kysymyksiin: kriisiharjoitus arvioi päätöksentekoa, palautustesti teknisiä oletuksia. Uhkaperusteiset tunkeutumistestaukset eli TLPT-testit koskevat valittuja finanssiyhteisöjä. Ne eivät ole yleinen vaatimus jokaiselle finanssipalveluntarjoajalle tai tämän kaikille toimittajille.
Kolmansiin osapuoliin liittyvien TVT-riskien hallinta.
DORA-asetuksen 28–30 artikla yhdistävät palveluntarjoajariskit, sopimusvaatimukset ja finanssiyhteisön oman vastuun. TVT-sopimusjärjestelyjä koskeva tietorekisteri eroaa tavallisesta toimittajaluettelosta. Erityistä huomiota vaativat kriittisten tai tärkeiden toimintojen tukeminen, riippuvuudet, sopimukseen perustuva yhteistyö ja toteuttamiskelpoiset irtautumisvaihtoehdot. Kriittisten tarjoajien erillistä valvontaa käsittelevät DORA-asetuksen 31 artikla ja sitä seuraavat artiklat.
Uhkatiedon kohdennettu vaihto.
DORA-asetuksen 45 artikla mahdollistaa kyberuhkia koskevien tietojen vaihtojärjestelyt. Osallistuminen on vapaaehtoista ja edellyttää selkeitä luottamuksellisuus- ja käyttösääntöjä. Tiedonvaihto täydentää omaa turvallisuustoimintaa. Se ei korvaa poikkeaman arviointia eikä tarvittavaa ilmoitusta toimivaltaiselle viranomaiselle.
DORA:n toteutus: roolista todennettuun kyvykkyyteen.
Selvittäkää rooli ja toimivalta.
Dokumentoikaa asianomaisen oikeushenkilön soveltamisala, poikkeukset, valvontasuhde ja vastuuhenkilöt, jotta jatkotyö perustuu perusteltuun luokitteluun.
Kartoittakaa finanssitoiminnot ja riippuvuudet.
Yhdistäkää tärkeät toiminnot todella käytettäviin järjestelmiin, tietoihin ja ulkoisiin palveluihin, jotta mahdolliset häiriövaikutukset ja yhteiset riippuvuudet tunnistetaan.
Arvioikaa riskit ja sopimusjärjestelyt.
Arvioikaa toimintayksikön, teknologia-asiantuntijoiden ja hankinnan kanssa, tukevatko toimenpiteet, palveluntarjoajien sitoumukset ja sopimukset vaadittua jatkuvuutta ja missä tarvitaan johdon päätöksiä.
Harjoitelkaa poikkeamia ja palauttamista.
Harjoitelkaa sopivilla skenaarioilla havaitsemista, arviointia, eskalointia ja palauttamista sekä tarvittavaa yhteistyötä palveluntarjoajien kanssa ja dokumentoikaa tulokset.
Päivittäkää näyttöä ja muutoksia.
Arvioikaa olennaisten muutosten ja uusien havaintojen jälkeen, sopivatko vastuut, rekisterit, menettelyt ja testit edelleen yhteen ja onko havaitut heikkoudet todella korjattu.
DORA-näyttö syntyy jatkuvassa toiminnassa.
DORA:n noudattaminen osoitetaan jäljitettävillä päätöksillä ja todennettavalla toteutuksella. Sovellettavasta velvoitteesta riippuen tähän kuuluvat riskien arvioinnit, jatkuvuusjärjestelyt, poikkeamatallenteet, testitulokset ja TVT-sopimusten asiakirjat. Todisteesta on ilmettävä, mitä oikeushenkilöä ja toimintoa se koskee ja mitä todella tarkastettiin. Avoimia ongelmia sisältävä testipöytäkirja ei vahvista ongelmien korjaamista.
Toimivaltaiset viranomaiset valvovat finanssiyhteisöjä lainsäädännön puitteissa muun muassa DORA-asetuksen 46 artiklan ja sitä seuraavien artiklojen nojalla. Tästä eroaa nimenomaisesti nimettyjen kriittisten kolmansina osapuolina olevien TVT-palveluntarjoajien eurooppalainen valvonta 31–44 artiklan mukaisesti. ESMA kuvaa sitä finanssiyhteisöjen oman vastuun ja nykyisen valvonnan täydennykseksi. Yleinen DORA-sertifikaatti, jolla olisi yhtenäinen voimassaoloaika, ei korvaa näitä suhteita ja velvoitteita.
Lue lisää blogista.
DORA ja muut viitekehykset.
DORA on soveltamisalaansa kuuluville finanssiyhteisöille asianomaisilla alueilla NIS2:een nähden alakohtainen unionin säädös. Tästä ei seuraa kaikkien finanssikonsernien tai niiden toimitusketjujen yleistä vapautusta kaikista BSIG-velvoitteista. ISO 27001 voi jäsentää tietoturvan hallintajärjestelmän organisointia, mutta ei korvaa DORA-vaatimuksia ja niiden osoittamista. GDPR:n tietosuojavelvoitteet arvioidaan erikseen, erityisesti jos häiriö koskee myös henkilötietoja.
Secanissa.
Secani sisältää toimituksellisen DORA-luettelon, joka perustuu asetukseen (EU) 2022/2554 ja valittuihin täydentäviin säädöksiin. Profiilitiedoissa erotellaan muun muassa vahvistetut finanssiyhteisöt sekä täysi ja yksinkertaistettu kehys. Tiedot tukevat dokumentoitua käsittelyä eivätkä tee automaattista oikeudellista luokittelua. Luettelo ei ole virallinen käännös eikä vahvistus DORA-vaatimustenmukaisuudesta.
Aloittakaa yhdestä oikeushenkilöstä ja toiminnosta.
Valitkaa ensin asianomainen oikeushenkilö ja konkreettinen finanssitoiminto. Kootkaa sen luokittelu, vastuut, järjestelmäriippuvuudet, palvelusopimukset ja viimeisimmät testitulokset. Arvioikaa sitten vastuuhenkilöiden kanssa, mitkä väitteet on jo osoitettu ja mikä päätös tarvitaan seuraavaksi. Yksityiskohtainen blogiopas syventää tätä aloitusta.
Lähteet.
- Asetus (EU) 2022/2554 finanssialan digitaalisesta häiriönsietokyvystä
- Euroopan komissio: kyberhäiriönsietokyky
- Euroopan komissio: DORA:n delegoidut säädökset ja täytäntöönpanosäädökset
- ESMA: DORA, pääalueet ja tekniset standardit
- ESMA: kriittisten kolmansina osapuolina olevien TVT-palveluntarjoajien valvonta
- EIOPA: DORA Q&A 136–3193, 2 artikla
- Komission ohjeet NIS2:n 4 artiklasta, 2023/C 328/02
Usein kysytyt kysymykset.
Ei. Ratkaisevia ovat oikeushenkilö, sen lakisääteinen luokka ja mahdolliset DORA-asetuksen 2 artiklan poikkeukset. Markkinanimitys tai pieni yrityskoko ei yksin määritä soveltumista eikä vapautusta.
Ei. Kriittiseksi kolmantena osapuolena olevaksi TVT-palveluntarjoajaksi nimetään eurooppalaisessa valvontakehyksessä DORA-asetuksen 31 artiklan mukaisesti. Asiakassuhde tai asiakkaan kriittisen toiminnon tukeminen ei yksin korvaa tätä nimeämistä.
Ei. DORA-asetuksen 26 artiklan uhkaperusteiset tunkeutumistestaukset koskevat valittuja finanssiyhteisöjä. Muut sovellettavat häiriönsietokyvyn testausvaatimukset on arvioitava erikseen.
Ei. ISO 27001 -sertifikaatti vahvistaa tietoturvan hallintajärjestelmän ilmoitetulla soveltamisalalla eikä korvaa lakisääteisiä DORA-velvoitteita. Niiden osalta ratkaisevia ovat edelleen sovellettavat vaatimukset, todellinen toteutus ja sitä osoittavat todisteet.
Yhdistäkää vastuu ja näyttö.
Katsokaa, miten Secani tukee sääntelyvaatimusten käsittelyä.
Tämä sivu selittää DORA:a yleisellä tasolla eikä korvaa tapauskohtaista oikeudellista arviointia. Ratkaisevia ovat voimassa olevat säädökset ja toimivaltaisen valvojan määräykset.